Sanction financière prononcée par la CNIL en cas de non-respect du RGPD, visant à être efficace, proportionnée et dissuasive.
Définition complète
L'amende administrative est une sanction pécuniaire infligée par l'autorité de contrôle (la CNIL en France) lorsqu'une organisation ne respecte pas les obligations imposées par le Règlement Général sur la Protection des Données (RGPD). Contrairement à une sanction pénale, elle ne vise pas à condamner un individu, mais à sanctionner l'entité juridique responsable du traitement des données.
Le montant de ces amendes est encadré par les articles 83 du RGPD. Il existe deux paliers de sanctions selon la gravité du manquement : le premier peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent (le montant le plus élevé étant retenu). Le second palier, pour les violations les plus graves (comme le non-respect des droits des personnes ou des principes fondamentaux), peut s'élever jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Pour fixer le montant, la CNIL analyse plusieurs critères : la nature, la gravité et la durée de l'infraction, les mesures prises pour atténuer le dommage, le degré de coopération de l'entreprise et l'existence de manquements antérieurs. L'objectif est que la sanction soit « effective, proportionnée et dissuasive », tout en tenant compte de la taille de la structure, notamment pour les PME.
Exemple concret en PME
Une PME de e-commerce conserve les données bancaires de ses clients sans justification légale et sans sécurisation adéquate. Après un contrôle de la CNIL, l'entreprise est sanctionnée pour manquement à l'obligation de limitation de la conservation et de sécurité des données (Art. 5 et 32 du RGPD). L'amende est proportionnée au chiffre d'affaires de la PME, mais reste significative pour marquer la nécessité de mettre en place une politique de purge des données.
L'erreur fréquente à éviter
L'erreur classique est de penser que la CNIL sanctionne systématiquement par une amende financière. En réalité, elle privilégie souvent des mises en demeure ou des avertissements pour les PME de bonne foi. Cependant, l'absence de documentation (registre des traitements) est l'un des motifs les plus fréquents de sanction, car elle prouve l'absence de démarche de conformité active.